С 30 мая 2025 года в России действует новая система ответственности за обработку персональных данных (ПД). Согласно Федеральному закону № 152‑ФЗ «О персональных данных» и последующим поправкам к ст. 22‚ любой оператор (организация‚ индивидуальный предприниматель или самозанятый)‚ который собирает и обрабатывает ПД физических лиц‚ обязан уведомить уполномоченный орган – Роскомнадзор о намерении начать обработку.

Однако закон предусматривает исключения‚ позволяющие проводить обработку без предварительного уведомления. В этой статье мы подробно разберём:

• какие правила регулируют уведомление;
• в каких случаях уведомление не требуется;
• какие последствия ждут нарушителей;
• практические рекомендации для ИП‚ самозанятых и компаний.

Законодательная база

1.1 Основные нормативные акты

• ФЗ 152‑ФЗ от  г. «О персональных данных» (части 1 и 2 ст. 22).
• Положение о Роскомнадзоре (п. 1 Положения о Роскомнадзоре).
• Приказ Роскомнадзора от  № 180 «Об утверждении форм уведомлений о намерении осуществлять обработку персональных данных».
• КоАП РФ ст. 13.11 – штрафы за непредставление уведомления.

1.2 Что такое «оператор персональных данных»?

Оператором считается любое юридическое лицо‚ индивидуальный предприниматель (ИП) или самозанятый‚ который самостоятельно или совместно с другими лицами определяет цели и способы обработки ПД. Если вы храните данные о своих сотрудниках‚ клиентах‑физических лицах‚ партнёрах или посетителях сайта – вы оператор.

Обязательство уведомления в Роскомнадзор

По п. 2 ст. 3‚ часть 1 ст. 22 ФЗ 152‑ФЗ оператор обязан направить уведомление в Роскомнадзор до начала обработки персональных данных. Уведомление подаётся в электронном виде через портал e‑tracker с использованием формы‚ утверждённой приказом № 180.

2.1 Содержание уведомления

1. Наименование оператора (ИНН‚ ОГРН‚ ФИО для самозанятых).
2. Перечень обрабатываемых персональных данных (ФИО‚ паспортные данные‚ биометрия‚ контактные данные и пр.).
3. Цели обработки (трудовые отношения‚ выполнение договора‚ маркетинг‚ аналитика и т.д.).
4. Способы и сроки хранения данных.
5. Меры по обеспечению безопасности ПД (технические и организационные).

2.2 Сроки подачи

Уведомление должно быть подано до начала любой обработки. Если к 30 мая 2025 г. уведомление ещё не подано‚ то оператор рискует получить штраф от 30 000 руб. до 50 000 руб. для должностных лиц и от 100 000 руб. до 300 000 руб. для ИП и юридических лиц.

Когда уведомление НЕ требуется?

Согласно части 2 ст. 22 ФЗ 152‑ФЗ‚ оператор может обрабатывать персональные данные без уведомления в трёх строго определённых случаях:

1. Ручная обработка – если ПД обрабатываются исключительно вручную (на бумажных носителях) без применения средств автоматизации.
2. Обработка‚ не связанная с системами автоматизации – когда данные не вносятся в электронные базы‚ а‚ например‚ хранятся в личных записных книжках.
3. Обработка в рамках личных нужд – если ПД используются исключительно в личных целях физического лица и не попадают в сферу деловой деятельности (например‚ домашний адрес в личном блокноте).

Во всех остальных ситуациях‚ в т.ч. если обработка осуществляется через веб‑формы‚ CRM‑системы‚ облачные сервисы‚ электронную почту или любые автоматизированные инструменты‚ уведомление обязательно.

Последствия несоблюдения требования об уведомлении

4.1 Штрафные санкции

• Для должностных лиц – от 30 000 руб. до 50 000 руб.
• Для ИП и юридических лиц – от 100 000 руб. до 300 000 руб.
• Дополнительные меры: предписания о приостановке обработки‚ выездные проверки‚ требование о внесении исправлений в политику обработки ПД.

4.2 Репутационный риск

Непредставление уведомления часто сопровождается публичным раскрытием факта нарушения‚ что может привести к потере доверия клиентов и партнёров‚ а также к судебным искам со стороны субъектов персональных данных.

Пошаговая инструкция по подаче уведомления в 2025‑2026 гг.

1. Подготовьте сведения о типе и объёме обрабатываемых ПД‚ целях и сроках обработки‚ а также о мерах безопасности.
2. Зайдите на портал e‑tracker и выберите форму «Уведомление о намерении осуществлять обработку персональных данных» (приказ № 180).
3. Заполните поля формы. Электронную подпись не требуется‚ но рекомендуется использовать ИНН/ОГРН для подтверждения личности.
4. Сохраните подтверждение о подаче (номер заявления) – это ваш документ‚ подтверждающий соблюдение требований.
5. При необходимости‚ подготовьте политику обработки ПД и разместите её на сайте (если вы собираете данные через онлайн‑формы).

Практические рекомендации для разных категорий операторов

6.1 Для индивидуальных предпринимателей (ИП)

• Если вы обрабатываете данные только своих работников (например‚ табель учёта рабочего времени) – уведомление обязательно.
• Для небольших ИП‚ собирающих данные через «бумажные» формы (например‚ подписанные договора) – можно считать обработку «ручной»‚ но документально подтвердите отсутствие автоматизации.
• Регулярно проверяйте реестр на портале Роскомнадзора‚ чтобы убедиться‚ что ваше уведомление учтено.

6.2 Для самозанятых

• Самозанятый‚ оказывающий услуги физическим лицам (например‚ репетитор‚ фрилансер)‚ также считается оператором;
• Если вы храните контакты клиентов в электронных таблицах‚ уведомление необходимо.
• Если же вы храните только телефонные номера в телефонной книге телефона – это «ручная обработка»‚ и уведомление не требуется.

6.3 Для юридических лиц (компаний)

• Большинство компаний обязаны подавать уведомление‚ так как используют CRM‚ ERP‚ облачные сервисы и онлайн‑формы.
• Разработайте внутренний регламент по подготовке и подаче уведомления‚ включающий ответственного за ПД.
• Обеспечьте соответствие требованиям к защите ПД (шифрование‚ ограничение доступа‚ журналирование).

Как обеспечить безопасность персональных данных без уведомления

Даже если ваша обработка подпадает под исключения (ручная обработка)‚ закон требует принимать меры по обеспечению безопасности ПД. Рекомендации:

• Храните бумажные документы в закрытых шкафах с ограниченным доступом.
• Ограничьте круг лиц‚ имеющих доступ к персональным данным.
• Регулярно проводите аудит доступа и утилизируйте устаревшие документы безопасным способом (переплавка‚ утилизация).
• Если в дальнейшем планируете перейти к автоматизации‚ подготовьте уведомление заранее.

Обработка персональных данных без уведомления Роскомнадзора возможна лишь в трёх узко определённых случаях‚ связанных с полностью ручной обработкой. Для большинства бизнес‑моделей – онлайн‑сервисы‚ CRM‚ сайты‚ мобильные приложения – уведомление обязательно. Несоблюдение требований влечёт за собой значительные штрафы и репутационные потери.

Чтобы избежать проблем‚ рекомендуется:

1. Тщательно определить‚ какие данные вы собираете и как они обрабатываются.
2. Проверить‚ подпадает ли ваша деятельность под исключения из обязательного уведомления.
3. В случае необходимости – подготовить и подать уведомление в Роскомнадзор до начала обработки.
4. Внедрить внутренние политики защиты персональных данных и регулярно их обновлять.

Только системный подход к соблюдению требований 152‑ФЗ и своевременное уведомление помогут вашему бизнесу работать легально и сохранять доверие клиентов.